python-oletools

oletools — это пакет инструментов на Python для анализа файлов Microsoft OLE2 (также называемых Structured Storage, Compound File Binary Format или Compound Document File Format), таких как документы Microsoft Office 97-2003, MSI-файлы или сообщения Outlook, в основном для анализа вредоносных программ, криминалистики и отладки. Он основан на парсере olefile.

Он также предоставляет инструменты для анализа RTF-файлов и файлов на основе формата OpenXML (также известного как OOXML), таких как документы MS Office 2007+, XPS или MSIX.

Например, oletools может обнаруживать, извлекать и анализировать макросы VBA, OLE-объекты, макросы Excel 4 (XLM) и ссылки DDE.

Подробнее см. http://www.decalage.info/python/oletools.

Быстрые ссылки: Домашняя страница - Скачать/Установить - Документация - Сообщить о проблемах/предложениях/вопросах - Связаться с автором - Репозиторий - Обновления в Twitter Шпаргалка

Примечание: python-oletools не связан с OLETools, опубликованным компанией BeCubed Software.

Новости

• 2025-05-22 v0.60.3:
  • olevba:
    • исправлена проблема безопасности при отображении в CLI, когда присутствуют ANSI escape-последовательности (PR #873)
    • зашифрованные файлы: пароль теперь отображается в журналах, добавлена опция --decrypted_dir (PR #842)
• 2024-07-02 v0.60.2:
  • olevba:
    • исправлена ошибка в open_slk (проблема #797, PR #769)
    • исправлена ошибка, связанная с новой записью PROJECTCOMPATVERSION в потоке dir (PR #723, проблемы #700, #701, #725, #791, #808, #811, #833)
  • oleobj: исправлена SyntaxError при Python 3.12 (PR #855), SyntaxWarning (PR #774)
  • rtfobj: исправлена SyntaxError при Python 3.12 (PR #854)
  • clsid: добавлены CLSID для MSI, Zed
  • ftguess: добавлены форматы MSI, PNG и OneNote
  • pyxswf: исправлена совместимость с Python 3.12 (PR #841, проблема #813)
  • setup/requirements: разрешен pyparsing 3 для устранения проблем с установкой (PR #812, проблема #762)
• 2022-05-09 v0.60.1:
  • olevba:
    • исправлена ошибка при вызове XLMMacroDeobfuscator (PR #737)
    • удалено ключевое слово "sample", вызывавшее ложные срабатывания
  • oleid: исправлена проблема с инициализацией OleID (проблема #695, PR #696)
  • oleobj:
    • добавлено простое обнаружение начальной стадии CVE-2021-40444
    • добавлено обнаружение для customUI onLoad
    • улучшена обработка некорректных имен файлов в OLE-пакете (PR #451)
  • rtfobj: исправлен код поиска URL в объектах OLE2Link для Py3 (проблема #692)
  • ftguess:
    • добавлены форматы PowerPoint и XPS (PR #716)
    • исправлена проблема с XPS и некорректными документами (проблема #711)
    • добавлен формат XLSB (проблема #758)
  • улучшено журналирование с помощью общего модуля log_helper (PR #449)
• 2021-06-02 v0.60:
  • ftguess: новый инструмент для определения форматов и контейнеров файлов (проблема #680)
  • oleid: (проблема #679)
    • каждый индикатор теперь имеет уровень риска
    • вызывает ftguess для определения форматов файлов
    • вызывает olevba+mraptor для обнаружения и анализа макросов VBA+XLM
  • olevba:
    • если доступен XLMMacroDeobfuscator, использует его для извлечения и деобфускации макросов XLM
  • rtfobj:
    • использует ftguess для определения типа файла OLE-пакета (проблема #682)
    • исправлена ошибка в re_executable_extensions
  • crypto: добавлен прозрачный пароль PowerPoint '/01Hannes Ruescher/01' (проблема #627)
  • setup: XLMMacroDeobfuscator, xlrd2 и pyxlsb2 добавлены как опциональные зависимости

Подробнее см. полный журнал изменений.

Инструменты:

Инструменты для анализа вредоносных документов

• oleid: для анализа OLE-файлов с целью обнаружения конкретных характеристик, обычно встречающихся во вредоносных файлах.
• olevba: для извлечения и анализа исходного кода макросов VBA из документов MS Office (OLE и OpenXML).
• MacroRaptor: для обнаружения вредоносных макросов VBA.
• msodde: для обнаружения и извлечения ссылок DDE/DDEAUTO из документов MS Office, RTF и CSV.
• pyxswf: для обнаружения, извлечения и анализа Flash-объектов (SWF), которые могут быть встроены в файлы, такие как документы MS Office (например, Word, Excel) и RTF, что особенно полезно для анализа вредоносных программ.
• oleobj: для извлечения встроенных объектов из OLE-файлов.
• rtfobj: для извлечения встроенных объектов из RTF-файлов.

Инструменты для анализа структуры OLE-файлов

• olebrowse: простой графический интерфейс для просмотра OLE-файлов (например, документов MS Word, Excel, PowerPoint) с возможностью просмотра и извлечения отдельных потоков данных.
• olemeta: для извлечения всех стандартных свойств (метаданных) из OLE-файлов.
• oletimes: для извлечения временных меток создания и изменения всех потоков и хранилищ.
• oledir: для отображения всех записей каталога OLE-файла, включая свободные и потерянные записи.
• olemap: для отображения карты всех секторов в OLE-файле.

Проекты, использующие oletools: